4. 入侵检测系统概述
在工控网络中，防火墙、访问控制与网络隔离解决的是“能不能进、能不能通”的问题，而入侵检测系统（Intrusion Detection System，IDS）解决的是“进来之后有没有异常行为、有没有攻击迹象”的问题。IDS 通过对网络流量、主机日志、系统调用、工控协议报文等对象进行持续采集与分析，识别违反安全策略或偏离正常基线的行为，并产生告警、记录证据，必要时联动防火墙、交换机或安全编排平台进行阻断。对于工控场景，IDS 的价值不仅在于发现攻击，更在于帮助运维人员理解生产网络中的异常通信、非法扫描、协议篡改和越权操作。
一、IDS 的核心定义与基本组成
IDS 是一种对信息系统或网络中的活动进行监测、分析并判断是否存在入侵行为的安全系统。它通常由四个基本部分组成：数据采集层、检测分析层、告警响应层和管理配置层。数据采集层负责从镜像端口、TAP、主机代理、日志接口或工控协议解析器中获取原始数据；检测分析层依据特征库、基线模型或混合规则进行匹配与推理；告警响应层将检测结果以日志、邮件、SNMP Trap、Syslog 或 API 方式输出；管理配置层用于策略下发、白名单维护、告警分级和报表审计。
需要区分 IDS 与 IPS：IDS 以监测和告警为主，通常旁路部署，不直接串联在业务链路中；IPS（入侵防御系统）则串联部署，具备实时阻断能力。工控网络对可用性要求极高，因此实际项目中常先以 IDS 旁路监测为主，确认误报率和策略成熟度后，再考虑在关键边界引入 IPS 或联动阻断。
二、按监测对象分类：NIDS 与 HIDS
按数据来源和监测范围，IDS 最常用的分类是网络型入侵检测系统（NIDS）和主机型入侵检测系统（HIDS）。NIDS 部署在网络关键节点，通过镜像流量或 TAP 获取数据包，分析 TCP/IP 会话、工控协议（如 Modbus、S7Comm、OPC UA、DNP3）以及异常扫描、暴力破解、非法写入等行为。HIDS 安装在工程师站、操作员站、历史服务器或控制器主机上，采集系统日志、进程、文件完整性、注册表、USB 使用和账户变更等信息，擅长发现主机层面的提权、木马驻留和配置篡改。
| 对比维度 | NIDS | HIDS |
|---|---|---|
| 数据来源 | 网络流量、协议报文 | 主机日志、进程、文件、系统调用 |
| 部署位置 | 交换机镜像口、TAP、边界汇聚点 | 工程师站、服务器、控制器主机 |
| 优势 | 覆盖广、对网络攻击敏感、对主机无侵入 | 可见主机内部行为、可发现本地提权和恶意文件 |
| 局限 | 加密流量难解析、工控协议深度解析要求高 | 需安装代理、对控制器兼容性要求高 |
| 典型告警 | 端口扫描、异常 Modbus 写、ARP 欺骗 | 异常进程、账户新增、关键配置文件被改 |
三、检测方法：特征检测、异常检测与混合检测
特征检测又称误用检测，其核心是维护攻击特征库，将流量或日志与已知攻击模式进行匹配。例如 Snort/Suricata 规则、工控协议功能码白名单、恶意 IP 黑名单等。特征检测准确率高、解释性强，但只能发现已知攻击，面对 0day、变种和内部人员缓慢渗透时容易漏报。
异常检测则先建立正常行为基线，再对偏离基线的行为进行告警。基线可以基于统计阈值、时间窗口、通信关系、协议字段分布或机器学习模型。例如某 PLC 平时只与两台 HMI 通信，突然与陌生 IP 建立连接并频繁写入寄存器，就属于异常。异常检测能发现未知威胁，但误报率较高，需要持续调优和人工确认。
混合检测将两者结合：先用特征规则快速命中已知攻击，再用异常模型补充未知风险，最后通过关联分析降低误报。工控 IDS 通常采用“协议白名单 + 行为基线 + 特征规则 + 威胁情报”的组合策略。下面是一段典型的 Suricata 工控规则示例，用于检测对 Modbus 写单个寄存器的异常操作：
alert modbus any any -> any any (
msg:"Modbus Write Single Register detected";
modbus_func:6;
sid:1000001;
rev:1;
)在实际工程中，规则不是越多越好。工控协议功能码固定、通信关系稳定，若直接套用 IT 规则会产生大量误报。建议先梳理资产、通信矩阵和工艺周期，再编写白名单和阈值规则，最后逐步引入异常检测模型。
四、部署模式与工程要点
IDS 的常见部署模式包括旁路镜像、TAP 分流、主机代理和分布式集中管理。旁路镜像利用交换机 SPAN 口复制流量，成本低、不影响生产，但可能丢包，适合中小规模网络；TAP 分流通过物理分光器或网络 TAP 复制流量，稳定性高，适合核心生产区；主机代理部署在关键服务器和工程师站，补充主机层可见性；分布式集中管理则在各区域部署探针，由中心平台统一分析、存储和告警。
五、场景复盘：某汽车焊装车间异常写入事件
某汽车焊装车间部署了旁路 NIDS，初期只启用端口扫描和通用攻击规则，误报较多。后来项目组补充了 Modbus/TCP 深度解析，建立“PLC 只与两台 HMI 和一台工程师站通信”的通信矩阵，并设置写寄存器频率阈值。某天凌晨，NIDS 发现工程师站向焊接机器人 PLC 连续写入保持寄存器，频率远超正常工艺节拍，同时伴随陌生 IP 的 SMB 扫描。HIDS 随后在工程师站上发现异常进程和 USB 使用记录。经排查，这是一起通过 U 盘引入木马后尝试篡改工艺参数的未遂事件。该案例说明：NIDS 负责发现网络异常，HIDS 负责定位主机根因，混合检测与关联分析才能形成完整证据链。
综上，工控 IDS 的选型与部署应围绕“看得见、辨得准、告得清、处置快”四个目标展开。NIDS 与 HIDS 互补，特征检测与异常检测结合，旁路与主机代理按区域组合，才能在不影响生产连续性的前提下，构建覆盖网络层和主机层的入侵检测能力。工程落地时，建议从资产和通信矩阵出发，先建立白名单和基线，再逐步启用规则与模型，并通过定期复盘告警持续优化策略。